Eine neu veröffentlichte Android-Sicherheitslücke ermöglicht es, die Telefonfunktion von Smartphones mit einer speziell präparierten SMS zu stören. Die Nachricht erscheint nicht im Posteingang und erfordert keinerlei Reaktion des Empfängers. Besonders problematisch ist, dass laufende Gespräche abbrechen können und betroffene Geräte unter bestimmten Umständen wiederholt neu starten. Google hat bereits eine technische Korrektur entwickelt, doch der Schutz hängt vom jeweiligen Softwarestand ab.
Der Sicherheitsforscher Mark Blaszczyk veröffentlichte die unter dem Namen „SMS des Todes“ bekannte Schwachstelle am 29. Oktober 2026. Er hatte Google nach eigenen Angaben bereits am 5. Mai auf das Problem aufmerksam gemacht.
Die Angriffsmethode nutzt sogenannte WAP-Push-Nachrichten. Dabei handelt es sich um spezielle Daten-SMS, die Android automatisch im Hintergrund verarbeitet. Anders als gewöhnliche Textnachrichten werden sie nicht im Nachrichtenverlauf angezeigt.
Der Fehler befindet sich in einer Systemkomponente, die solche Nachrichten auswertet. Eine manipulierte Längenangabe kann dazu führen, dass die Software einen ungültigen Speicherbereich anfordert. Dadurch stürzt der Android-Telefonieprozess ab.
Nach den Untersuchungen des Forschers verlieren betroffene Geräte dabei kurzfristig ihre Mobilfunkverbindung. Laufende Telefonate werden beendet. Das kann auch Gespräche mit Rettungsdiensten betreffen. Nicht zwingend stürzt bereits durch die erste Nachricht das gesamte Smartphone ab.
Besonders schwerwiegend sind die Folgen, wenn ein Smartphone mehrere manipulierte Nachrichten erhält.
Nach Darstellung Blaszczyks können bereits ungefähr 20 solcher SMS ausreichen, um ein betroffenes Gerät für längere Zeit praktisch unbenutzbar zu machen. Ursache ist unter anderem, dass Android fehlerhafte Nachrichten erneut zu verarbeiten versucht.
Auch Mobilfunkanbieter können nicht bestätigte Nachrichten nochmals zustellen. Dadurch besteht die Möglichkeit, dass der Telefoniedienst immer wieder abstürzt.
Bei einem dokumentierten Fall mit Android 12 startete das Smartphone etwa alle 90 Sekunden neu und wechselte schließlich in den Wiederherstellungsmodus.
Derartige Absturzfolgen sind als Denial-of-Service-Angriff einzuordnen. Dabei wird die Verfügbarkeit einer technischen Funktion gezielt beeinträchtigt. Ein Zugriff auf persönliche Daten oder deren Diebstahl ist durch die beschriebene Schwachstelle nicht belegt.
Die fehlerhafte Verarbeitung betrifft nach den technischen Untersuchungen Android-Versionen ab Android 12. Der Sicherheitsforscher konnte die Schwachstelle unter anderem auf einem Google Pixel 9 mit Softwarestand April 2026 sowie verschiedenen Samsung-Smartphones der Galaxy-Reihe reproduzieren.
Die betroffene Systemkomponente ist auch in späteren Android-Versionen enthalten. Für Android 14 bis 17 wurde inzwischen eine technische Korrektur entwickelt.
Entscheidend ist daher nicht allein die Android-Version, sondern auch der tatsächlich installierte Sicherheitsstand. Besonders bei älteren Smartphones mit Android 12 oder 13 besteht das Risiko, dass keine entsprechenden Sicherheitsupdates mehr bereitgestellt werden.
Eine vollständige Übersicht sämtlicher betroffener Modelle liegt nicht vor. Auch eine belastbare Zahl der möglicherweise angreifbaren Geräte ist nicht bekannt.
Die Entwicklung des Sicherheitsupdates begann deutlich vor der öffentlichen Bekanntgabe der Schwachstelle.
Aus dem offiziellen Android-Quellcode geht hervor, dass ein Google-Entwickler am 15. Juni 2026 eine entsprechende Änderung erstellte. Am 5. August wurde diese in den öffentlich einsehbaren Android-Code übernommen.
Der Fix erweitert die Fehlerbehandlung beim Verarbeiten von WAP-Push-Nachrichten. Fehlerhafte Nachrichten sollen dadurch abgefangen und aus der Warteschlange entfernt werden, bevor sie weitere Abstürze verursachen können.
Beim Zeitpunkt der Verteilung gibt es allerdings unterschiedliche Angaben. Der Entdecker der Sicherheitslücke ordnet die Korrektur dem Oktober-Update 2026 für Android 14 bis 17 zu.
Das Sicherheitsprojekt GrapheneOS führt die Schwachstelle unter der Kennung CVE-2026-58882 und ordnet sie den Sicherheitskorrekturen zu, die für das November-Bulletin vorgesehen sind. Im offiziellen Google-Sicherheitsbulletin vom 5. Oktober ist diese Kennung nicht aufgeführt.
Unklar blieb zunächst, welche regulären Android-Geräte den konkreten Fix bereits erhalten haben. Das Bereitstellen einer Korrektur im Android-Quellcode bedeutet nicht automatisch, dass sämtliche Smartphone-Hersteller sie bereits ausgeliefert haben.
Smartphone-Besitzer sollten kontrollieren, ob für ihr Gerät eine aktuelle Systemsoftware beziehungsweise ein Sicherheitsupdate verfügbar ist.
Unter Android lässt sich der installierte Sicherheitsstand üblicherweise über die Einstellungen und den Menüpunkt „Über das Telefon“ beziehungsweise „Android-Version“ überprüfen. Verfügbare Aktualisierungen finden Nutzer in der Regel unter „System“ und „Softwareupdate“.
Bei der sogenannten SMS des Todes helfen die üblichen Vorsichtsmaßnahmen gegen betrügerische Textnachrichten nur eingeschränkt. Die manipulierte Nachricht muss weder geöffnet noch ein darin enthaltener Link angeklickt werden.
Gerät ein Smartphone bereits in eine dauerhafte Neustart-Schleife, sollten Betroffene nicht vorschnell die angebotene Löschung sämtlicher Daten bestätigen. Der Sicherheitsforscher beschreibt eine Wiederherstellung über eine Computerverbindung und die Android Debug Bridge, bei der gezielt fehlerhafte Nachrichten entfernt werden können. Dafür sind allerdings technische Kenntnisse und geeignete Voraussetzungen erforderlich.
Ist das Smartphone wegen der Störung nicht zuverlässig für Telefonate nutzbar, sollte für dringende Anrufe ein anderes funktionierendes Telefon verwendet werden.
Google empfiehlt grundsätzlich, verfügbare Android- und Sicherheitsupdates zeitnah zu installieren. Wann eine Aktualisierung bereitsteht, hängt unter anderem vom Hersteller und jeweiligen Gerätemodell ab.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu